人間中心サイバーセキュリティというパラダイムシフト― 人間から考え始め、人間に立ち返る守り方へ
サイバーセキュリティの前提は、変わり続けている。組織の内外を分けて守る境界防御に加え、アクセスごとに検証するゼロトラストの考え方が広がった。侵入の防止とともに、侵入を早期に検知し、被害を抑え、回復するレジリエンスも重視されるようになった。
これらの変化は、守るための技術や仕組みを発展させてきた。しかし、その仕組みを使い、判断し、維持する人間について、私たちはどこまで考えてきただろうか。
AIによって攻撃も業務も変化する今、私は「人間中心サイバーセキュリティ（Human-Centered Cybersecurity：HCC）」が、守り方の前提を問い直すパラダイムシフトになり得ると考えている。技術やルールを、人間の能力や限界、仕事の実態に照らして設計し、その成果を人間の側から確かめるという転換である。
人間から考え始め、人間に立ち返る
フィッシング対策を考えるとき、私たちはしばしば「どうすれば偽のメールを見破れるか」と問う。必要な問いではある。しかし、受信者が置かれている状況まで見なければ、対策は十分に機能しない。
その人はどのような仕事をしているのか。大量のメールを処理しているのか。急ぎの判断を求められているのか。不審に思ったとき、業務を止めて確認できるのか。相談先は明確か。
同じ知識を持つ人でも、時間的な余裕や周囲の支援によって、取れる行動は変わる。注意を促すだけでは解消できない問題が、仕事の進め方や組織の仕組みに含まれていることもある。
だからこそ、人間が置かれた状況から必要な技術や支援を考え、導入後も、それが実際に人を守っているかを確かめる必要がある。対策によって確認作業が増えすぎていないか。相談や報告をためらわせていないか。安心して仕事を続けられるか。
私が「Human First, Human Last」と呼ぶのは、この往復である。人間を出発点に置き、最後も人間への影響に立ち返る。
脅威とともに、守るものを見る
もう一つの出発点は、「何を守りたいのか」を明らかにすることである。
攻撃の手口を追い続けても、脅威をすべて取り除くことはできない。一方、組織が守るべき情報、事業、日々の仕事、人との信頼には、それぞれ固有の価値と事情がある。何がどこにあり、失われると誰にどのような影響が及ぶのか。その理解が、対策の優先順位を決める土台になる。
人手、時間、費用には限りがある。対策の導入費用だけでなく、運用を続けるための負担も考えなければならない。担当者の献身や長時間労働によって成立する守り方は、継続性の面で課題を抱えている。
「身の丈に合ったセキュリティ」とは、守るものの価値と自分たちの条件を理解し、必要な対策を続けられる形で実践することである。その際には、残るリスクを明らかにし、誰が判断し、引き受けるのかまで組織として共有する必要がある。
視点、習慣、改善のあり方を変える
この考え方を実務に移すには、三つの変化が求められる。
第一に、視点を技術から組織の構造と時間軸へ広げることだ。目の前の操作だけでなく、その判断に至った業務、権限、情報共有、評価の仕組みを見る。過去の経験を現在の改善につなげ、将来も維持できるかを考える。攻撃者の行動を分析するのと同様に、守る側や利用する側の行動にも、その背景がある。
第二に、知識を日常の実践につなげることだ。研修で理解していても、現場で実行できるとは限らない。迷ったときに確認する、早めに相談する、小さな異変を共有するといった行動が、無理なく取れる環境が必要になる。個人の習慣と、それを支える組織の文化は、両方を育てていかなければならない。
第三に、自分たちが変えられる条件に改善の力を注ぐことだ。事故後に「なぜ気づかなかったのか」と問うだけでは、次の事故を防ぐ手掛かりは限られる。当時、何が見えていたのか。どのような制約があったのか。仕組みのどこを変えれば、より安全な判断を取りやすくなるのか。結果を知った立場から個人を評価するだけでなく、判断が行われた条件を検証する必要がある。
そのためにも、失敗や懸念を早く共有できる関係が欠かせない。責任や説明責任を明確にしながら、報告した人が不当に不利益を受けない運用を整えることが、学習と改善を支える。
AI時代に問われる、人間の判断を支える設計
AIは、情報の整理や分析を助ける一方、判断の過程や責任の所在を見えにくくする可能性もある。出力をどこまで信頼するのか。誰が確認するのか。誤りに気づいたときに止められるのか。こうした問いは、人間と技術の関係をどう設計するかという問題である。
導入後に人間へ確認責任を求めるなら、確認に必要な情報、時間、権限も用意しなければならない。人間が責任を負う範囲と、実際に判断へ関与できる範囲が釣り合っているかが問われる。
同じことは、インシデント対応にも当てはまる。対応者の疲弊や孤立は、本人の健康に加え、判断、情報共有、対応の継続にも影響する。守る人を支えることは、組織の対応能力を維持するための条件でもある。
人間中心を、対策の評価基準にする
HCCをパラダイムシフトと呼ぶ意義は、人間への配慮を掲げることだけにはない。何をもって「よいセキュリティ」とするか、その評価基準まで問い直す点にある。
対策を導入したか、研修を実施したかに加えて、人が安全に行動しやすくなったか。懸念が早く共有されるようになったか。担当者の過度な負担が減り、必要な判断を続けられるようになったか。そうした変化も確かめる必要がある。
人間中心という考え方は、特定の国や一つの手法だけで完成するものではない。研究の知見と、それぞれの現場で働く人の経験を結びつけ、試し、評価し、修正することで具体化される。
人間の能力と限界を設計の前提に置き、人と組織が持つ力を発揮できる条件を整える。その積み重ねが、変化に対応しながら守り続けられるセキュリティにつながると考える。